你知道电影里那种隐藏炸弹的桥段吗？有一枚炸弹即将爆炸，会杀死无数人。首先，好人必须找到它。然后他们得想办法进入内部以拆除它。就在他们几乎要成功拆除时，却发现了一个诡雷，不得不设法绕过。接着他们找到了两根线——红色和蓝色。英雄必须剪断蓝色线，但在黄色灯光下，两根线看起来都是黑色的。最后他侥幸成功了，剪断了蓝色线。
然而，在涉及网络欺诈时，我们中有些人就没那么幸运了。
据这位前顶级黑客、现安全专家凯文·米特尼克（Kevin Mitnick）所说，那些由疯狂炸弹客设置的层层阻力，应当成为人们在试图将坏人挡在计算机、网络和数据库之外时的思维模式。
米特尼克对互联网安全的了解无人能出其右，他表示，将坏人拒之门外并非易事。他说，这里没有一劳永逸的“灵丹妙药”（或“万能剪线钳”）。
米特尼克：系统存在漏洞，网络或数据安全没有现成的解决方案，必须通过多层防护来尽可能增加黑客入侵的难度，因为窃贼倾向于选择容易下手的目标；如果某项行动需要花费数小时却只能窃取500美元，他们下次就不会再费心去做了。
如今，凯文·米特尼克大部分时间都在路上奔波。我们在他的内华达州总部偶遇了他，当时他正为前往加拉加斯、东京、法兰克福和斯洛文尼亚的行程做准备。米特尼克曾是头号通缉超级黑客，在被联邦调查局追捕三年后落网，随后洗心革面成为好人。现在，他利用自己卓越的技能与创造力，帮助人们将数字世界的“恶狼”拒之门外。
你可能不想读这篇文章，但电子商务企业家由于他们的职业性质，以及在大多数情况下对网络安全理解的局限性，是最容易遭受攻击的人群之一——是的，“攻击”这个词用得很准确。
米特尼克：小型在线企业在数据存储安全方面不能想当然，必须向托管公司询问数据如何存储、加密密钥存放何处以及谁有权访问。大多数商人既非专家也不愿成为专家，因此他们必须依赖软件和像我这样擅长处理此类问题的专家。
网络犯罪威胁的两种基本形式
欺诈、身份盗窃和其他网络犯罪威胁主要有两种基本形式：一种源于技术漏洞，另一种则来自令人不安且往往贴近日常生活的社会工程学漏洞。
米特尼克：我认为威胁程度相当。通过我的实践和经验发现，缺乏技术素养的商人在购买并部署软件及硬件产品后，风险虽已降至接近零，但随后却可能遭受社会工程学欺诈——例如 rogue 员工窃取信用卡号码，或员工无意中向伪装成可信人士的社会犯罪分子泄露信息，后者以看似无害的方式获取信任并套取信息从而实施欺诈。
我建议你在设计安全措施时，要从技术、流程和人员三个方面入手。安全性应是这三者的总和，因为坏人总会寻找最薄弱的环节；如果是你的员工，他们就会加以利用，而这种情况屡见不鲜。
防范社会工程学威胁的关键在于保持警惕
社会工程学威胁一直存在——就像那个巧舌如簧的骗子兜售某种蛇油一样。但现在，它也表现为一个仅掌握少量知识（如用户名、特定术语、纯粹的商业态度）的人，能够趁商人、消费者或员工不备，获取访问宝贵信息或系统的权限。防范此类威胁的关键在于保持警惕。
米特尼克：不幸的是，每个人必须在自己的心中界定什么是敏感信息，但当有人向你索取可能敏感的信息（如密码或系统连接方式）时，你应当提出质疑。当人们接到听起来很专业或提及他们可能使用的产品的电话时，往往倾向于提供信息，但人们必须学会在对方无需知晓的情况下舒适地说“不”并拒绝提供信息。
例如，诈骗犯可能会打电话让你访问某个特定网站——那是你平时不会知道或看到的网站。当你访问时，该网站会在你的浏览器中植入恶意代码，窃取个人信息，或利用你的浏览器执行你未曾意图的操作。
如果你打电话给一家公司并购买他们的产品（比如一台打印机），当对方询问你系统的相关信息时，你可以提供这些信息。但如果有人主动给你打电话，尤其是你不认识的人，并开始询问诸如你使用什么类型的电脑、你的位置在哪里或你使用什么操作系统等问题，最好保持沉默，不要回答。
《欺骗的艺术》揭示多种欺诈手段
米特尼克当前的书名为《欺骗的艺术》。这本书探讨的是社会工程学这一现象。这有点令人不安。我们大多数人根本不知道人们正以多少种不同的方式试图窃取我们的财物。
米特尼克：在我的书中，我通过讲故事的方式描述了坏人用来获取贵公司实物资产或联系名单的各种诡计和骗局，他们可能诱骗一名客户服务代表泄露信息，例如当坏蛋打电话自称是正在维护系统的技术人员，并要求客服前往公司新网站时，该网站仅模仿公司系统外观，员工尝试登录时便会将用户名和密码提供给坏人，从而使坏人获得对公司系统的访问权限。
因此，存在许多不法分子以及攻击中的多种手段。威胁到底有多严重？
米特尼克：只要你连接到互联网，就会面临持续的攻击，总有人在寻找漏洞，这些攻击未必是为了窃取财物，也可能是将你的机器用作非法软件的存储库，或是从你的计算机发起其他攻击，使你陷入法律困境。
构建多层防御体系应对持续威胁
聘请像米特尼克这样的人来分析你的系统和漏洞，对于任何在互联网上进行交易的人来说都是一个明智的步骤。但除此之外，他还建议采取一些措施来帮助减轻威胁。
米特尼克： 你可以要求你的托管公司签订协议，规定他们必须提供安全保障。[有一件事]我认为你应该做，如果能够协商的话，是将部分风险转移给托管公司，使他们承担一定的责任。
另一件事是，企业家应雇佣了解安全知识的员工，或者自己学习相关知识。另一个选择是聘请顾问。
不存在那种安装后就可以高枕无忧的“即插即用”式安全解决方案。安全措施需要层层叠加。当然，确保你已部署防火墙。但不要仅仅依赖它，你需要构建多层防御体系。防火墙可以将人员阻挡在系统的某些部分之外，但还存在其他漏洞，例如服务器操作系统、Web应用程序和购物车系统等——所有这些漏洞都需要以某种方式加以解决。
互联网和计算机世界中有一个永恒不变的常量，那就是变化。这听起来可能有些矛盾，但进化才是关键所在，而不法分子则花费数百万工时，试图找出更新、更险恶的方法来破解代码。
米特尼克： 可以肯定的是，一旦我们堵住一个漏洞，黑客就会找到另一个。我们需要不断进化并识别自身的漏洞。你知道，不法分子只需要找到一个漏洞就足以让你的生活陷入困境。目前没有任何单一技术能够完全缓解信用卡欺诈问题。你想要做的是采用分层技术策略，审视所有这些数据点，并对风险和威胁进行评估。
我正在筹备自己的电子商务平台上线，前几天的一次会议上我们决定，我们在信用卡欺诈方面是一个“高难度目标”。有人问我应该怎么做，我提出了三种不同技术的组合方案，以应对我们预期的特定威胁。我们的目标是让欺诈者在绕过你的欺诈检查机制时付出极大努力，使其得不偿失。
不存在即插即用的单一安全技术。米特尼克表示，整个系统已经失效。
米特尼克： 需要开发一种新技术来使系统正常运行，因为整个系统存在严重漏洞。目前系统的运作方式过于容易被利用。我的意思是，你的信用卡没有任何密钥保护。如果有人足够了解你，他们就能冒充你并窃取你的财物。这一切都基于知识。我们需要一种不依赖知识的机制来保障交易安全。
米特尼克并不确定我们能否达到那样的水平。未来某段时间我们可能会领先于技术潮流，但即便如此，该技术也可能很快过时。最好的做法是层层防护——外面的世界很危险。
—
凯文·米特尼克是他自己所说的“坏人”的前身。他是一名黑客，曾成为美国联邦调查局（FBI）十大通缉犯之一，并在长达三年的逃亡后最终被捕。在解决法律纠纷后，米特尼克将其卓越的技能与知识转向维护法律与秩序。他现在经营一家公司，致力于帮助企业、政府和个人防范欺诈行为。他最近出版的书籍是《欺骗的艺术》，探讨了通过社会工程学进行欺诈的问题。